Un guardián en la puerta: seguridad determinista para agentes de IA, explicada sin código

Un agente de IA ya no es un programa que conversa. Es un programa que hace: lee archivos, envía correos, mueve dinero, publica código. Y lo hace con credenciales reales — las llaves de la casa.

Hasta ahora, la forma habitual de ponerle límites es escribirle instrucciones: "nunca borres archivos", "consulta antes de enviar", "no toques producción". Esas instrucciones viven dentro del mismo texto que el agente lee para trabajar. Y ahí está el problema, porque a un modelo de lenguaje se lo convence con texto. Es su naturaleza: fue construido para dejarse influir por lo que lee. La técnica que engaña a un agente para saltarse sus propias instrucciones tiene nombre — prompt injection — y no es un error que las próximas versiones vayan a corregir, porque no es un error: es la misma capacidad que lo hace útil, usada en contra.

La conclusión no es alarmante, es antigua: no se le pide al vigilado que se vigile solo.

El guardián

Imagine un edificio con un empleado nuevo, muy capaz y muy crédulo. Puede hacer de todo, pero cualquiera que converse un rato con él puede convencerlo de casi cualquier cosa. ¿La solución es entrenarlo para que desconfíe más? Ayuda, pero nadie apostaría el edificio a eso.

La solución de siempre es otra: un guardián en la puerta. Cada vez que el empleado quiere salir con algo — un paquete, un documento, una orden de pago — el guardián revisa una lista escrita y decide: pasa, espera a que un responsable lo apruebe, o no pasa. El guardián no conversa. No le interesan los argumentos del empleado ni los de nadie. Lee la lista y aplica lo que dice, igual hoy que a las tres de la mañana.

Eso es AgentLaw: un guardián para agentes de IA. Cada acción que un agente intenta pasa antes por un punto de control externo que consulta las reglas y responde con uno de tres veredictos — permitir, pedir aprobación humana, o denegar. Dos detalles hacen que la metáfora se sostenga de verdad:

El guardián no es otra IA. Es un motor determinista: reglas compiladas que producen el mismo veredicto ante la misma situación, todas las veces. No opina, no interpreta, no se cansa, no se deja convencer. A un modelo se lo puede persuadir. A una política firmada, no.

La lista está firmada. Las reglas se sellan con una firma criptográfica, y la llave que firma no vive donde trabaja el agente. Cambiar una regla exige la llave — no un buen argumento. Sin esto, el agente crédulo podría ser convencido de reescribir la lista, y todo el edificio volvería a depender de su criterio.

Hay un tercer detalle, menos visible y más importante de lo que parece: todo lo que no está en la lista, no pasa. La duda no se resuelve a favor de la acción.

El cuaderno de guardia

Un buen guardián además anota. Cada decisión — también las negativas — queda registrada en una bitácora encadenada: cada anotación queda ligada matemáticamente a la anterior, de modo que alterar una página deja marca en todas las siguientes. No es magia; es la garantía precisa de que nadie puede corregir el pasado en silencio. Si alguien tocó el registro, la verificación señala dónde.

Lo que el guardián no hace

La seguridad seria dice también lo que no cubre. El guardián detiene acciones: el paquete que no debía salir, el pago que necesitaba una firma, el borrado que nadie autorizó. No puede impedir que el empleado lea algo hostil dentro de un documento permitido — impide que eso actúe, no que se lea. Y no protege contra quien tenga la llave que firma las reglas, ni contra quien controle el edificio entero. Publicar estos límites no es una debilidad del mecanismo; es la condición para confiar en él.

Para quien quiera mirar adentro

El mecanismo completo es open source bajo licencia Apache-2.0 — las especificaciones, el motor, el punto de control y la auditoría — y el motor de seguridad es libre y auto-hosteable, siempre. Las especificaciones se publican antes que el código y están abiertas a discusión. Quien programe puede empezar por el repositorio; quien no, ya sabe qué preguntar cuando alguien proponga poner un agente a trabajar con las llaves de la casa: ¿quién es el guardián, quién firmó la lista, y dónde está el cuaderno?